تغيّرت الجهة المشرفة ولم تتغير ضوابطك: تقنية المعلومات بعد انتقال الإشراف إلى هيئة التأمين

اضبط التسلسل أولًا، فأكثر اللبس الذي أسمعه يأتي ممن يضغطون الأحداث كلها في حدث واحد. في أغسطس 2023 وافق مجلس الوزراء على إنشاء هيئة التأمين جهةً تنظيمية مستقلة موحّدة لقطاع التأمين. وفي 23 نوفمبر 2023 باشرت الهيئة أعمالها ضمن فترة انتقالية. وفي مطلع 2024 انتقلت إليها الاختصاصات المتعلقة بالتأمين من البنك المركزي السعودي (SAMA). وفي 4 مارس 2024 انتقلت إليها مسؤوليات التأمين الصحي من مجلس الضمان الصحي. أربعة تواريخ، وثلاث جهات، وقطاع واحد.

ثم تأتي الحقيقة التي لا يبدأ بها أحد تقريبًا، وهي وحدها التي تغيّر ما ستفعله صباح الأحد: الأنظمة واللوائح والقواعد والتعليمات التي أصدرها SAMA ومجلس الضمان الصحي لقطاع التأمين بقيت سارية دون تغيير، إلى أن تصدر هيئة التأمين تعليمات تحل محلها. لم يُلغَ شيء، ولم يُعِد أحد ترقيم ضوابطك نيابة عنك، ولم يصبح ضابط كنت تشغّله في فبراير 2024 خاطئًا في مارس 2024.

وتُختصر الخلاصة عند إدارة تقنية المعلومات في سطر: تغيّرت الجهة المشرفة ولم يتغير دفتر القواعد. فمن يخبرك أن بيئة الضبط عادت إلى الصفر فإنما يبيعك برنامجًا، ومن يخبرك أن شيئًا لم يقع فلم يقرأ مصفوفة التصعيد عنده منذ مدة. والحقيقة أضيق من الاثنين وأنفع.

وهذا كان الشرط الابتدائي لا حالة دائمة. فقد أخذت الهيئة تحل محل أجزاء منه منذ ذلك الحين، انتقاءً ووفق تواريخ منشورة، ويمر القسم الأخير على ما صدر بالضبط. لكن الأصل هو البقاء، ولن تميّز الاستثناء ما لم تعرف الأصل.

نمط الفشل هنا ليس مخالفة الأنظمة، بل تقادم الأوراق، وهو الفشل الذي لا تخصص له المؤسسات أحدًا. فسياسة جدار الحماية عندك، وإيقاعك في مراجعة الصلاحيات، وتمارين الاستعادة، وتصنيف الحوادث، وقواعد الاحتفاظ بالبيانات، لم يبطل منها شيء في 4 مارس 2024. الذي أصبح خاطئًا هو الغلاف الورقي المحيط بها.

اقرأ وثائقك بنفسك وفي ذهنك سؤال واحد: هل تسمّي هذه الوثيقة جهة إشرافية؟ سياسة أمن المعلومات التي تسمّي جهة في نطاقها. خطة استمرارية الأعمال التي يشير بند الإبلاغ فيها إلى جهة لم تعد تملك الاختصاص. عقد المورّد الذي كُتب فيه بند التعاون التنظيمي على مقاس مخاطَب آخر. حزمة الأدلة المقدَّمة للتدقيق التي ظل غلافها صحيحًا ست سنوات ثم صار خاطئًا بهدوء. والنموذج الذي يوقّعه الشريك عند التهيئة. وكتاب التشغيل للتعافي من الكوارث. كل واحدة منها تصف ضابطًا حقيقيًا يعمل، لكنها تطرق الباب الخطأ.

هذا عمل توثيقي لا برنامج معالجة، والمسافة بين الوصفين تبتلع ربع سنة كاملة من طاقة فريقك. فارفض إعادة التأطير. وحين كنت أملك ميزانية تقنية سنوية بستة ملايين ريال على سبع منشآت تشغيلية، تعلّمت أن أسرع طريقة لإضاعة ربع سنة هي أن تقبل إصرار غيرك على أن مشكلة التسمية مشكلة معمارية. وهي في الغالب ليست كذلك. اطلب منهم أن يروك الضابط الذي انكسر.

وهنا تقلب الفرق الترتيب. فحين ينتقل الإشراف، أول ما يتغير ليس ما يجب أن تفعله، بل من تُبلغه وبأي سرعة. تتحرك مسارات التصعيد، ومستقبلو الإشعارات، والسلسلة الداخلية التي تقرر أن المسألة صارت تنظيمية، ومن يوقّع خطاب الإحالة، والبريد الذي يستقبل الإفادة، وسطر RACI الذي يحدد من يُساءل عن العلاقة. هذا السطح يتحرك مبكرًا، أما سطح الضوابط فيتحرك متأخرًا، أو لا يتحرك أصلًا.

افصل إذن العمل إلى مسارين، وأسند كل مسار إلى فريق مختلف. فإعادة توجيه التصعيد مهمة حوكمة وشؤون قانونية تعتمد على تقنية المعلومات: سجلات التواصل، وقوائم التوزيع، ومصفوفة التصعيد داخل أداة ITSM، وكتاب التشغيل أثناء المناوبة الذي يسمّي الجهة التي تُبلَّغ عند الثانية فجرًا. وهذه مهمة محدودة ورخيصة ويجب أن تُنجز. أما إعادة توجيه الضوابط فمهمة هندسية لا تبدأ إلا حيث سمّت الهيئة هدفًا فعليًا. فحيث سمّته، وأوضح مثال عليه الإطار الجديد لرأس المال في القسم الأخير، ابنِ وفق المهلة المنشورة وموّل العمل كما ينبغي. وحيث لم تسمِّه، انتظر، فالبناء نحو تخمين ينتهي بك إلى مجموعتَي ضوابط بلا دليل يسند أيًّا منهما.

رفعت تقاريري إلى مجلس إدارة وإلى لجنة تنفيذية، وصحّ النمط في الغرفتين معًا: تحتمل الجهة التي فوقك غموضًا في المتطلبات المستقبلية أكثر بكثير مما تحتمل غموضًا في من يرفع السماعة. أصلح شجرة الاتصال أولًا، ثم عد إلى خارطة الطريق.

هنا تُقيَّم سنواتك الخمس الماضية في الانضباط التشغيلي، والتقييم لا وسط فيه. فإذا كانت أدلتك منظمة، استغرقت إعادة توجيهها عصر يوم واحد. وإذا كانت ساكنة في صناديق البريد وجداول شخصية، فأمامك ربع سنة، ولا منزلة بين المنزلتين.

ويعني التنظيم أن يكون لديك كتالوج خدمات، لكل خدمة فيه مالك مُسمّى وسلسلة اعتماديات موثّقة، فتستعلم عن الخدمات ذات التعرّض التنظيمي بدل أن تعقد ورشة لتخمينها. ويعني أن تتولد سجلات SLA من بيانات التذاكر لا أن تُجمَّع يدويًا في آخر الشهر. ويعني أن تُحفظ مراجعات الصلاحيات بطوابعها الزمنية وأسماء معتمِديها داخل نظام، لا داخل سلسلة بريد تنتهي بكلمة موافق. ويعني أن تُبنى تقارير Power BI على نموذج بيانات، فيكفي أن تغيّر تسمية واحدة لتتغير في كل مكان دفعة واحدة، لا في كل نسخة محفوظة كررتها. ويعني أن تحمل بطاقات التقييم التي تضعها للمورّدين عمودًا تنظيميًا أصلًا، فتعرف أي العقود تفتحه أولًا.

أما غياب التنظيم فيعني أن اسم الجهة الإشرافية كُتب نصًا حرًا في وثائق لم يجردها أحد، كتبها موظفون غادروا، على مدى سنوات لم تُسجَّل. لا استعلام هنا، بل قراءة فقط.

خضت النوعين من عمليات النقل. ففي برنامج الترقية من Odoo 15 إلى 18، وفي نقل مستأجر Microsoft 365 والنطاق، كان العمل الذي ينتهي في موعده هو العمل الذي كانت لبياناته صورة واضحة واستثناءاته معروفة سلفًا. وكان ما يتجاوز المدة دائمًا ما وُعِدنا فيه بأن الرقم سهل الوصول إليه. والتنظيم ليس فضيلة امتثالية، بل خيار تشتريه مقدمًا في مواجهة كل تغيير مستقبلي لا تستطيع التنبؤ به، وتغيّر الجهة المشرفة هو بالضبط التغيير الذي لم يضعه أحد في الخطة.

أعمل في مجموعة تأمين وتقنية مالية مدرجة في تداول. ولهذه الجملة أثر امتثالي يستهين به باستمرار من هم خارج هذه المؤسسات: لم ينتقل إلى هيئة التأمين إلا ما يتعلق بالتأمين من اختصاصات. أما SAMA فلم يذهب إلى أي مكان، إذ يبقى البنك المركزي، ويبقى المشرف على الجانب المالي الذي لم يشمله النقل أصلًا.

ولا تستبدل المجموعة العاملة في المجالين جهةً تنظيمية بأخرى، بل تتعامل مع الجهتين معًا فوق بنية تحتية مشتركة: منصة الهوية ذاتها، والشبكة ذاتها، وأجهزة FortiGate وSophos ذاتها، وSOC ذاته، وطابور التذاكر ذاته، وفي الغالب الفريق نفسه من المهندسين. بيئة الضبط عندك واحدة، وخريطة الإشراف متعددة. والخطأ أن تجرّك وحدة البنية التحتية إلى التساهل في تعدد الخريطة، فهكذا تنتهي بوثيقة سياسة عامة واحدة لا تُرضي أيًّا من القارئَين كما ينبغي.

وعمليًا، صنّف الخدمات في الكتالوج بحسب تعرّضها الإشرافي، لا بحسب الإدارة التي طلبتها. فبعضها يخدم التأمين، وبعضها يخدم الخدمات المالية، وبعضها يخدم الاثنين، وقليل منها لا يخدم أيًّا منهما ويجدر أن نكف عن وصفه كما لو كان يخدمهما. ثم أفرد لـPDPL وNCA عمودًا مستقلًا تمامًا، فالتزامات البيانات الشخصية وتوقعات الأمن السيبراني الوطني تقع خارج هذا النقل ولم يمسّها. فتغيّر المشرف في منظومة لا يعيد ترقيم بقية المنظومات، وقد رأيت فرقًا تضيّع أسابيع وهي تفترض العكس.

من يعمل في التأمين والتقنية المالية معًا يتعامل مع المشرفَين في وقت واحد. وهذا موقعي أنا لا فرض نظري، ويستحق أن يُقال صراحة، لأن أكثر ما يدور في هذا السوق من إرشاد كتبه من لم يواجه إلا جهة واحدة.

لم تكن قاعدة البقاء حالةً دائمة قط، بل كانت الشرط الابتدائي، وقد أخذت هيئة التأمين تغيّره منذ ذلك الحين: تغييرًا انتقائيًا، في مجالات مُسمّاة، ووفق مُهل منشورة. وهذا هو النمط نفسه الذي حاججت به قبل ثلاثة أقسام: لا تُعاد هندسة الضوابط جملةً واحدة، بل يُعاد توجيهها، ثم تُستبدل في مجالات مُسمّاة وفق جدول زمني. فانظر إذن فيما أنتجه هذا النمط فعلًا.

في أغسطس 2025 أصدرت الهيئة تعميمًا يُلزم شركات إعادة التأمين الأجنبية كافة بالتسجيل في المنصة الرقمية التي خصصتها، وحددت لذلك مهلة تنتهي في 1 مارس 2026. وقد انقضت هذه المهلة. وتأمّل شكل الالتزام: ليس إعادة كتابة لبيئة الضبط عندك، بل تسجيل يُنفَّذ عبر منصة. وهو عند تقنية المعلومات مسألة تهيئة وسجلات: من سجّل، وبأي بيانات دخول، وأين يقبع الإشعار، وهل تتطابق سجلات شركائك مع ما لدى الهيئة. فإن عجزت اليوم عن الإجابة في دقيقة، فتلك هي مشكلة التقادم التي وصفتها في القسم الثاني، وقد ارتدت ثوبًا آخر.

أما الأهم لمن يقرأ هذا بصفته مسؤولًا عن تقنية المعلومات فهو رأس المال. فالهيئة تنقل السوق إلى إطار لرأس المال قائم على المخاطر: يجري التطبيق التجريبي خلال 2026 بالتوازي مع الإطار الحالي، ويكتمل التحول في يناير 2027. وخلال هذا التشغيل المتوازي تحتسب شركات التأمين ملاءتها وفق الإطارين معًا، الجديد والحالي، بحسب إرشادات الهيئة. وقد مضى معظم عام 2026، ولم يبقَ بيننا وبين يناير سوى نحو أربعة أشهر.

ومن قرأ هذا بوصفه تمرينًا اكتواريًا فقد سلّمه إلى الفريق الخطأ. فاحتساب المركز ذاته وفق إطارين طوال سنة كاملة مسألة بيانات قبل أن يكون مسألة رأس مال: نموذجان فوق مصدر واحد للبيانات، ومساران للتقارير، ومطابقة بينهما يملكها شخص بالاسم، وانضباط في الإصدارات يكفي لأن تقول في ديسمبر أي إطار أنتج أي رقم، ومن أي استخراج، وفي أي تاريخ. ثم انتقال مضبوط في يناير. تتبّع الأثر في البيانات، وإدارة الإصدارات، والتشغيل المزدوج، والانتقال المضبوط: هذا وصف وظيفتي باسم مختلف لا أكثر. وإذا كان تشغيلك المتوازي جدول بيانات يتعهّده موظفان لهما عمل آخر، فأنت لا تملك تشغيلًا متوازيًا، بل تملك مطابقة ستكتشفها في ديسمبر.

وما بقي مفتوحًا فعلًا هو النظام نفسه. فقد نشرت الهيئة مشروع نظام التأمين لاستطلاع المرئيات، وأُغلق الاستطلاع في 22 يوليو 2025، ويجري إعداد المشروع لرفعه إلى الجهات التشريعية. وهو لم يصبح نظامًا بعد. ولا أعرف ماذا سيقول نصه النهائي ولا متى يصدر، ولن أبني على تخمين فيه. وهذا سؤال مفتوح حقًا لا سؤال لم يبحثه أحد، والفرق بينهما يستحق أن يُقال للجنتك بهذه الصيغة نفسها.

فالموقف الصادق في أغسطس 2026 ليس «لم يتغير شيء» ولا «تغيّر كل شيء». صدر أمران بتواريخ تستطيع التحقق منها، وثالث مكتوب ينتظر. وما عدا ذلك يظل يعمل على دفتر SAMA ومجلس الضمان الصحي إلى أن يتوقف. والمؤسسات التي ستحسن التعامل مع بقية هذا المسار ليست أفضلها تنبؤًا، بل التي جعلت تغيير الاسم رخيصًا، وجعلت تشغيل نسختين من الرقم، لمدة محدودة وبدليل، شيئًا تعرف كيف تفعله أصلًا.